Overstappen naar Europese SaaS: stap voor stap voor technische en complianceteams
A European SaaS migration project rarely starts with a strategy memo. It starts with a flagged clause: a data processing agreement (DPA) review turns up a sub-processor based in the United States, a vendor’s price update changes the cost calculus overnight, or an internal audit surfaces a cross-border data transfer that legal cannot defend. These triggers are operational, and they usually arrive with a deadline attached: a contract renewal, an audit remediation date, or a board question that needs an answer.
Kort gezegd: Bedrijfssoftware verplaatsen van een aanbieder buiten de EU/EER naar een Europese aanbieder werkt het best in zes stappen: (1) bepaal de aanleiding, (2) inventariseer systemen, gegevensstromen en contracten, (3) beoordeel Europese alternatieven, (4) plan export, omzetting en import, (5) regel contractbeëindiging en gegevensverwijdering en (6) train teams en volg het gebruik na de start. Twee zaken bepalen vaak het tempo: hoeveel gegevens je uit het oude systeem kunt halen en hoe het oude contract eindigt. Sinds 12 september 2025 beperkt de EU Data Act de opzegtermijn voor een overstap bij veel SaaS-contracten tot twee maanden. Een Europese aanbieder kan bepaalde risico’s rond buitenlandse toegang verkleinen, maar vervangt je eigen zorgvuldige onderzoek niet.
| Stap | Wat je doet | Wat er aan het eind moet zijn |
|---|---|---|
| 1. Bepaal de aanleiding | Beslis waarom je overstapt | Een schriftelijke onderbouwing en een duidelijke afbakening |
| 2. Inventariseer | Breng systemen, gegevensstromen, subverwerkers en contracten in kaart | Een overzicht met verantwoordelijken en opzegdata |
| 3. Beoordeel | Vergelijk Europese alternatieven aan de hand van je criteria | Een shortlist met schriftelijke antwoorden van aanbieders |
| 4. Plan de gegevensoverdracht | Leg export, mapping en import vast en test die | Een gecontroleerde sandboximport en een terugvalplan |
| 5. Beëindig het contract | Zeg op en laat gegevens verwijderen in de juiste volgorde | Een verwijderingsbevestiging en bijgewerkte compliancedocumentatie |
| 6. Train en volg op | Laat teams met de nieuwe tool werken en volg problemen | Een afgesloten controleperiode waarin openstaande problemen zijn opgelost |
Maak onderscheid tussen een overstap als reactie en een strategische overstap. Reactieve projecten komen voort uit compliancedruk: onzekerheid over EU-VS-doorgifte sinds het Schrems II-arrest in 2020 het Privacy Shield ongeldig verklaarde, risico’s onder de Amerikaanse CLOUD Act of een concrete bevinding van de functionaris voor gegevensbescherming. Strategische projecten gaan over langere-termijndoelen, zoals minder afhankelijkheid van één leverancier, voorspelbare kosten of digitale soevereiniteit. Beide zijn legitiem, maar leiden tot een andere afbakening. Ze door elkaar halen veroorzaakt later vaak verwarring.
Het verschil met een gewone softwarewissel is dat veel afhankelijkheden tegelijk veranderen. Een overstap naar Europese SaaS raakt verwerkersovereenkomsten, ketens van subverwerkers, API-integraties, single sign-on (SSO), opzegtermijnen en werkprocessen. Zie je het alleen als een leverancierswissel, dan onderschat je al snel de tijd en de risico’s.
What Does “European SaaS Migration” Actually Mean?
In deze gids betekent overstappen naar Europese SaaS dat je bedrijfskritische toepassingen verhuist van een SaaS-aanbieder buiten de EU/EER, of een aanbieder die onder niet-Europese wettelijke toegangsregimes valt, naar een aanbieder die in de EU/EER gevestigd is en van daaruit opereert.
Gehost in de EU en beheerd vanuit de EU zijn verschillende dingen. EU-hosting zegt alleen waar de infrastructuur staat, bijvoorbeeld in Frankfurt of Amsterdam. EU-beheer betekent dat het bedrijf achter de dienst in de EU/EER gevestigd is. Eigendom en toepasselijke toegangsregels moet je nog steeds afzonderlijk controleren.
De reden is de Amerikaanse CLOUD Act. Onder 18 U.S.C. § 2713 kan een Amerikaanse aanbieder verplicht worden gegevens in zijn bezit, bewaring of onder zijn controle te verstrekken, ongeacht de opslaglocatie. Ook een Amerikaanse aanbieder met een datacenter in Frankfurt kan dus onder Amerikaanse bevelen vallen. Je ontdekt dit door de DPA en de lijst van subverwerkers te lezen, niet de marketingpagina.
Not every transatlantic data flow is unlawful, though. Since July 2023, the EU–US Data Privacy Framework allows personal data to be transferred to US companies certified under it. The General Court of the EU dismissed a challenge to the framework on 3 September 2025, and an appeal to the Court of Justice was filed on 31 October 2025.
The framework is valid today, but its two predecessors, Safe Harbor and the Privacy Shield, were both struck down. For a risk-conscious organization, that is a reasonable driver for migration: not because US transfers are banned, but because the legal basis could change.
Een overstap hoeft geen volledige vervanging van de platformen te zijn. Je kunt gefaseerd werken en eerst de gegevenscategorieën met het hoogste risico verplaatsen, terwijl minder risicovolle tools blijven. Dat is legitiem en vaak makkelijker te onderbouwen dan alles tegelijk vervangen. De juiste afbakening hangt af van de aanleiding, die je in de eerste stap bepaalt.
Een overstap naar Europese SaaS doorloopt zes fasen, van de aanleiding bepalen tot controle na ingebruikname.
Stap 1: Bepaal de aanleiding
Schrijf op waarom je overstapt voordat je een inventaris of shortlist maakt.
Regelgevende aanleidingen zijn onder meer AVG-risico’s bij een specifieke gegevensstroom, onzekerheid over de rechtsgrond voor doorgifte naar de VS en verplichtingen uit de AI Act that depend on intended purpose, risk classification and your organizational role. Commercial and operational drivers include rising license costs, feature stagnation, or the wish to depend less on a single vendor’s roadmap.
De aanleiding bepaalt de afbakening. Een overstap om complianceredenen is meestal gerichter en dringender. Je pakt het specifieke systeem of de gegevensstroom aan die het risico veroorzaakt; een auditdatum bepaalt vaak de planning. Een overstap vanwege kosten of strategie kan breder en gefaseerd zijn, omdat er geen externe deadline is die een snelle omschakeling afdwingt.
Documenteer je onderbouwing. Een schriftelijk verslag van het risico dat je wilde aanpakken en waarom je een bepaalde leverancier of afbakening koos, helpt bij latere inkoopbeslissingen. Het laat auditors of toezichthouders ook zien dat je zorgvuldig onderzoek hebt gedaan.
Stap 2: Inventariseer systemen, gegevensstromen en contracten
Skipping the inventory is the most common way to end up with surprises in the middle of the project. Shadow IT is the main cause: tools adopted by individual teams without formal procurement or IT sign-off can hold data or dependencies that never made it into the migration scope. A marketing team’s analytics tool or a sales team’s personal CRM add-on often surfaces only when an integration breaks.
Leg voor elk betrokken systeem het volgende vast:
- Verwerkte gegevenscategorieën: persoonsgegevens, bijzondere categorieën onder de AVG en gegevens met sectorspecifieke regels, beoordeeld samen met de verwerkingscontext en het risico
- Betrokken subverwerkers: derden die voor de leverancier persoonsgegevens verwerken, zoals vermeld in de DPA of de actuele subverwerkerslijst
- Afhankelijkheden van integraties: API’s, SSO-verbindingen, webhooks en automatiseringen die van het huidige platform afhangen
- Contracteinddata en opzegtermijnen: de formele termijn om op te zeggen zonder boete of automatische verlenging
Een eenvoudige inventaristabel is genoeg om te beginnen:
| Systeem | Zakelijk verantwoordelijke | Gegevenscategorieën | Subverwerkers | Integraties | Contracteinde en opzegtermijn |
|---|---|---|---|---|---|
| Bijvoorbeeld CRM | Salesverantwoordelijke | Klantcontacten, verkoopgeschiedenis | Volgens de DPA | SSO, e-mail, facturatie | Bijvoorbeeld 31 december; opzegging volgens contract |
Maak ook onderscheid tussen systemen met leidende gegevens en tools voor interactie en samenwerking. Een CRM of ERP met de gezaghebbende klant- of financiële gegevens brengt meer migratierisico mee: integriteit en een doorlopende historie zijn hier belangrijk. Bij chat- en vergadertools hangt het risico af van gevoeligheid, bewaarplichten, integraties en hoe nauwkeurig historische gegevens behouden moeten blijven.
Contract terms often decide the earliest possible exit date, more than technical readiness does. A contract may demand, say, 90 days’ written notice. For services covered by the EU Data Act, however, the notice period for switching can be at most two months (see Step 5). Check the clause against both.
Stap 3: Beoordeel Europese alternatieven
“European” does not automatically mean GDPR-safe. A vendor headquartered in the EU can still route data through non-EU sub-processors, keep backups outside the EEA, or belong to a parent company incorporated elsewhere. Even vendors who call themselves “fully GDPR-compliant” are describing a marketing position. Compliance is a property of how data is processed under a specific configuration and contract. Treat EU origin as the starting point for verification, and check the actual sub-processor list, data center locations and ownership structure.
Vergelijk kandidaten aan de hand van deze criteria:
| Criterium | Waarom het telt | Hoe je het controleert |
|---|---|---|
| Benodigde functies | Ontbrekende functies verhinderen vaak dat teams de nieuwe tool gaan gebruiken | Test onmisbare werkprocessen in een proefversie |
| Opslaglocatie van gegevens | Contractuele garanties tellen, aannames niet | DPA, inclusief back-uplocaties |
| Subverwerkers en eigendom | Subverwerkers of moederbedrijven buiten de EU kunnen dezelfde risico’s terugbrengen | Subverwerkerslijst, bedrijfsstructuur |
| Support en incidentrespons | De jurisdictie van deze teams beïnvloedt toegang tot je gegevens | Contract, documentatie van de leverancier |
| Certificeringen | Reikwijdte en actualiteit lopen sterk uiteen | Controleer claims aan de hand van leveranciersdocumentatie |
| Prijzen | Vergelijk met de huidige leverancier, inclusief de kosten van overlap | Offerte, prijslijst |
| Export- en migratietools | Ingebouwde tools maken stap 4 eenvoudiger | Documentatie, proefexport |
Een paar directe vragen in leveranciersgesprekken halen vaak boven wat marketingpagina’s weglaten. Stel ze schriftelijk en vraag om schriftelijke antwoorden:
- Waar worden onze gegevens precies opgeslagen, inclusief back-ups?
- Wie zijn jullie huidige subverwerkers en kan die lijst zonder voorafgaande melding veranderen?
- Wie is eigenaar van het bedrijf en welke wettelijke toegangsregimes gelden?
- Wat zijn de vertrekvoorwaarden? Kunnen we onze gegevens in een bruikbaar formaat exporteren en hoe lang kan dat na beëindiging?
Je hoeft niet elke toolcategorie vanaf nul te beoordelen. Deze vergelijkingen staan al op EuroBoxx:
- Business-intelligenceplatforms
- CRM-systemen
- Videoconferencing
- AI-vergaderassistenten
- Password managers and AI writing tools
Meer categorieën vind je in de EuroBoxx-gids met Europese softwarealternatieven.
Stap 4: Plan export, omzetting en import
Controleer vóór je een datum vastlegt wat je uit het oude systeem kunt exporteren. Sommige platformen bieden volledige relationele exports, andere alleen platte CSV-bestanden waarin relaties tussen records verloren gaan. API-limieten kunnen het ophalen van grote datasets vertragen, vooral bij leidende systemen met jaren aan geschiedenis. Die twee beperkingen bepalen de planning vaak meer dan de nieuwe omgeving.
Transformation is frequently underestimated. When the new platform’s schema differs from the old one, with different custom fields, workflow logic or automation rules, data cannot simply be copied. It has to be mapped and often restructured. Automation rules need to be rebuilt when the target platform does not support the same triggers, actions or fields.
Een gefaseerde aanpak verlaagt het risico ten opzichte van één abrupte omschakeling:
- Importeer de gegevens eerst in een test- of sandboxomgeving.
- Controleer aantallen records, relaties, bijlagen en rechten tegen het bronsysteem.
- Test integraties en SSO met het nieuwe platform.
- Spreek vóór de omschakeling in productie een terugvalplan af.
- Laat beide systemen gedurende een vastgelegde controleperiode naast elkaar draaien. Zo ontdek je verschillen terwijl het oude systeem nog beschikbaar is.
Hoe lang die overlap nodig is, hangt af van het gegevensvolume en de complexiteit van de controle. Er is geen vaste branchenorm.
Stap 5: Regel contractbeëindiging en gegevensverwijdering
De volgorde telt hier meer dan snelheid. Controleer de migratie volledig voordat je het oude contract opzegt of de leverancier vraagt iets te verwijderen: kloppen de aantallen records, werken integraties en hebben gebruikers het resultaat geaccepteerd? Een te vroege verwijderingsvraag neemt de mogelijkheid weg om bij een later ontdekt verschil terug te vallen op het bronsysteem.
Je overstaprecht onder de EU Data Act
The EU Data Act (Regulation (EU) 2023/2854) has applied since 12 September 2025. For customers of “data processing services”, which includes many SaaS products, it sets rules for switching providers:
- Opzegtermijn: the contract can require at most two months’ notice to start a switch.
- Overgangsperiode: de overgang naar de nieuwe aanbieder mag maximaal 30 dagen duren.
- Overstapkosten: tot 12 januari 2027 mogen aanbieders maximaal hun directe kosten rekenen. Daarna zijn overstapkosten in beginsel niet meer toegestaan.
Er zijn beperkingen. Voor diensten die speciaal voor één klant zijn gebouwd, geldt een lichter regime. Boetes voor vroegtijdige beëindiging van contracten met een vaste looptijd kunnen blijven bestaan. Ook is niet elk SaaS-product een dataverwerkingsdienst in de zin van de wet. Lees je contract en vraag juridisch advies voordat je in een concreet geval op deze regels vertrouwt.
Verwijdering en documentatie
Aan het einde van de dienstverlening moet de leverancier je persoonsgegevens naar jouw keuze verwijderen of teruggeven, tenzij de wet bewaring vereist (AVG art. 28 lid 3 onder g). Vraag een bevestiging waarin staat wat wanneer en uit welke systemen is verwijderd. Als het contract dat voorschrijft, moet die ook aangeven of back-ups verwijderd zijn of pas bij het normale einde van de bewaartermijn verdwijnen. De bevestiging legt samen met je overige verantwoordingsdocumentatie vast wat er na beëindiging is gebeurd.
Ook de documentatie verandert bij een leverancierswissel:
- Sluit een DPA met de nieuwe leverancier en controleer de subverwerkerslijst.
- Werk je register van verwerkingsactiviteiten bij.
- Werk een bestaande gegevensbeschermingseffectbeoordeling bij.
- Pas je privacyverklaring aan als ontvangers van persoonsgegevens veranderen.
Running two subscriptions during validation is a normal, budgetable cost of migration, not a sign of poor planning. Its length depends on how much data needs validating, how complex the integrations are, and how long the outgoing contract’s notice period keeps the subscription active regardless of readiness. Budget for the overlap in advance, and finance and procurement will have far fewer objections.
Stap 6: Train teams en volg het gebruik na de start
Technisch klaar en operationeel klaar zijn verschillende mijlpalen. Technisch succes betekent dat de gegevens correct zijn verhuisd en integraties werken. Operationeel succes betekent dat teams de nieuwe tool in hun dagelijkse werk gebruiken en niet terugvallen op omwegen of kopieën van het oude systeem.
Leg na de omschakeling een controleperiode vast. Volg daarin integratiefouten, verkeerd ingestelde rechten en ontbrekende of onjuist opgebouwde automatiseringen. De periode moet het gewone dagelijkse gebruik omvatten, omdat uitzonderingen die niet in de tests zaten vaak pas dan verschijnen.
Training effort scales with how different the new platform’s workflow logic is, not with how European the vendor is. A tool with a similar interface and logic needs comparatively light onboarding. A tool with a different data model or permission structure needs structured training and a named internal contact, typically the project owner or IT lead, who triages and tracks issues until the monitoring window closes.
Hoe lang duurt een overstap naar Europese SaaS? Een voorbeeld
Er is geen planning die bij elk project past. Dit voorbeeld is ter illustratie, geen norm. Het laat zien hoe een middelgroot team een CRM zou kunnen verhuizen. De duur verschilt met het gegevensvolume, de integraties en de verschillen tussen platformen.
| Fase | Wat er gebeurt | Voorbeeldduur |
|---|---|---|
| Stappen 1–2 | Aanleiding bepalen en inventaris maken | 2 weken |
| Stap 3 | Shortlist, leveranciersvragen en proefversie | 4 weken |
| Stap 4 | Export, mapping, sandboximport en tests | 4 weken |
| Stappen 4–5 | Parallel gebruik en controle | 4 weken |
| Stap 5 | Opzegtermijn en verwijdering | Tot 2 maanden opzegtermijn onder de Data Act, plus maximaal 30 dagen voor de overgang |
| Stap 6 | Training en controleperiode | 2–4 weken |
What generalizes is the sequence and the hard limits: for in-scope services, the contract cannot hold you to more than two months’ notice and a 30-day transition. Everything else depends on your data and your integrations.
Is volledig overstappen naar Europese SaaS altijd het juiste doel?
Niet noodzakelijk. Een hybride aanpak is verdedigbaar als een gedocumenteerde risicoanalyse voorrang geeft aan verwerking met hogere risico’s en bevestigt dat elke behouden tool rechtmatig en voldoende beschermd blijft. Zo laat een organisatie zien dat ze bewust prioriteiten heeft gesteld, in plaats van een algemene complianceclaim te maken die misschien niet voor elk systeem opgaat.
Hetzelfde geldt voor de timing. Een overstap die onder druk in enkele weken wordt geperst, brengt meer operationeel risico mee dan een project binnen de normale begrotingscyclus. De inventarisatie wordt meestal als eerste ingekort. Is er alleen tijd voor een deel van het werk, houd dan vast aan inventarisatie en controle en maak de afbakening kleiner.
Veelgestelde vragen
Garandeert een Europese SaaS-aanbieder automatisch AVG-naleving?
Nee. De herkomst van de aanbieder garandeert op zichzelf geen AVG-naleving en neemt het risico van buitenlandse toegang niet weg. Gegevensstromen, subverwerkers, beveiliging, doorgiftemechanismen en contracten moet je nog steeds controleren.
Heb ik in de EU een wettelijk recht om van SaaS-aanbieder te veranderen?
For many SaaS products, yes. Since 12 September 2025, the EU Data Act limits the notice period for switching to two months and the transition period to 30 days. Switching charges are capped at the provider’s direct costs until 12 January 2027 and generally no longer allowed after that. Individually built services and some fixed-term contracts are treated differently, so check your contract.
Hoe lang duurt een gebruikelijke overstap naar Europese SaaS?
It depends on data volume, the number and complexity of integrations, how different the new platform’s data model and workflows are, and the contractual exit terms. The example above shows how the phases add up. For services covered by the Data Act, the contractual exit window is capped at two months’ notice and 30 days’ transition.
Is het EU-VS Data Privacy Framework nog geldig?
It was valid at the time of writing. The General Court dismissed a challenge to it in September 2025, and an appeal is pending at the Court of Justice. Earlier frameworks were struck down, so organizations that depend on US transfers should keep an eye on the case and have a fallback such as standard contractual clauses.
Kan de migratie zonder downtime?
Beide systemen tijdens de controle naast elkaar laten draaien is een gebruikelijke manier om het risico op uitval en gegevensverlies te verkleinen. Het is een maatregel, geen garantie. Bij de omschakeling blijft een restrisico, vooral bij leidende systemen met complexe integraties. Plan daarvoor in plaats van aan te nemen dat het niet bestaat.
Bronnen
- Verordening (EU) 2023/2854 (Data Act), EUR-Lex
- Verordening (EU) 2016/679 (AVG), EUR-Lex
- Uitvoeringsbesluit (EU) 2023/1795 van de Commissie over het EU-VS Data Privacy Framework, EUR-Lex
- 18 U.S.C. § 2713, Legal Information Institute (Cornell)
- Alston & Bird: overstapvereisten van de EU Data Act voor clouddiensten (september 2025)
- WilmerHale: Hof van Justitie beoordeelt hoger beroep over het EU-VS Data Privacy Framework (december 2025)
Deze gids geeft algemene informatie en is geen juridisch advies. Laat je juridisch adviseur of functionaris voor gegevensbescherming je concrete contracten en gegevensstromen beoordelen.
